Expresiones de seguridad 101: qué significan realmente arquitectura de conocimiento cero, cifrado y más expresiones

En el mundo de la ciberseguridad y la identidad digital usamos muchos términos técnicos, pero tengo confianza en que esta publicación pueda aportar algo de claridad a la confusión habitual. En ella desgloso lo que significan algunas expresiones importantes del sector para que pueda entender más fácilmente qué son y cómo se relacionan con la experiencia de Dashlane.

Conocimiento cero

Qué significa conocimiento cero: Dashlane se basa en el principio de conocimiento cero para garantizar que solo usted tiene acceso a su caja fuerte de Dashlane. Tomemos el ejemplo del clásico atraco a un banco de película: los ladrones quieren acceder a una caja fuerte. Primero tienen que entrar en el banco y vencer la seguridad del mismo, por ejemplo, la puerta que da acceso a todas las cajas de seguridad individuales. Entonces, digamos que necesitan dos llaves: una que deben robar al director del banco y otra que deben robar al propietario de la caja de seguridad.

Ambas llaves garantizan que:

• El director del banco, por sí solo, no puede acceder al contenido de la caja fuerte, aunque guarde contenido de valor en nombre de usted.
• Usted, como propietario de la caja de seguridad, controla una parte crucial de su protección: algo sin lo cual dicha caja fuerte no podría abrirse.

Cómo usamos el conocimiento cero en Dashlane: Dashlane jamás querrá acceder a las credenciales ni a otros datos confidenciales de su caja fuerte. Por tanto, usamos la arquitectura de conocimiento cero para asegurarnos de que solo usted sea dueño de la llave, que, en este caso, es la contraseña maestra.

Dashlane no posee técnicamente otra llave, pero hemos creado el mecanismo de cifrado que garantiza que su caja fuerte está protegida con su llave y que solo usted, el propietario, puede acceder a los datos de dicha caja fuerte. Por eso todo el procesamiento confidencial de Dashlane se realiza de forma local en su dispositivo, por ejemplo el cifrado y descifrado de la caja fuerte. Esto garantiza que nosotros no lo veamos en nuestros servidores.

Cifrado

Qué significa cifrado: hablemos del cifrado. Siguiendo con las referencias cinéfilas, el cifrado es igual que los códigos secretos que se usan en las películas de aventuras. Es una forma de codificar datos para que solo puedan descifrarse y leerse si se conoce el código. El cifrado se basa en fórmulas matemáticas complejas y suele usar una clave denominada clave criptográfica, para hacer que el cifrado sea único para un dato determinado.

Hay dos tipos principales de cifrado.

Cifrado simétrico

Qué significa cifrado simétrico: hay una sola clave que permite cifrar y descifrar datos.

Cómo usamos el cifrado simétrico en Dashlane: el cifrado simétrico es lo que Dashlane usa para cifrar su caja fuerte. Un algoritmo común de cifrado simétrico es AES.

Cifrado asimétrico

Qué significa cifrado asimétrico: también denominado cifrado de clave privada-pública, el cifrado asimétrico implica dos claves diferentes. Una se usa para cifrar y la otra para descifrar. Hay una clave pública que se usa para cifrar, y que se puede compartir con cualquiera, ya que solo se usa para cifrar. Por otro lado, la clave privada, que a su vez se usa para descifrar los datos, debe mantenerse protegida.

Cómo usamos el cifrado asimétrico en Dashlane: en Dashlane usamos el cifrado asimétrico para compartir credenciales entre usuarios, gracias a un algoritmo denominado RSA.

Función de derivación de clave

Qué significa la función de derivación de clave: los secretos elegidos por humanos no suelen ser lo suficientemente fuertes para poder usarse como claves de cifrado. No son lo suficientemente largos ni aleatorios como para garantizar el nivel adecuado de seguridad. Por eso hace falta una función de derivación de clave. Se trata de un algoritmo que tomará su contraseña maestra y le agregará algo de magia matemática para generar una clave criptográfica larga y aleatoria.

Imagínelo así: la clave criptográfica es lo que permite abrir la puerta, mientras que su contraseña maestra es la palabra secreta que le dice al cerrajero (la función de derivación de clave) para que pueda crear la llave para usted. Si le dice la misma palabra secreta (la misma contraseña) siempre generará la misma clave criptográfica.

Además, las funciones de derivación de claves son deliberadamente lentas de calcular, lo que ayuda a evitar ataques de fuerza bruta.

Cómo usamos las funciones de derivación de clave en Dashlane: en Dashlane usamos Argon2 como función de derivación de clave para generar la clave de cifrado de su caja fuerte a partir de su contraseña maestra.

Averigüe lo que significa el argot relacionado con las TI, la ciberseguridad, las amenazas cibernéticas, la gestión de identidad y acceso y la administración de contraseñas en nuestro popular libro electrónico.

Criptografía poscuántica

Qué significa criptografía poscuántica: el mundo de la criptografía se enfrenta a una crisis existencial con el nacimiento de la informática cuántica. No voy a entrar en detalles sobre los principios físicos y científicos de la informática cuántica; baste decir que esto supone una revolución en la forma en que se diseñan y fabrican los ordenadores. Una vez madure la criptografía poscuántica, la nueva generación de ordenadores hará que el actual cifrado asimétrico sea frágil y quede obsoleto.

Cómo usamos la criptografía poscuántica en Dashlane: es hora de que las empresas de software como Dashlane se preparen para una evolución del ecosistema de cifrado y así garantizar que en el futuro mantenemos sus datos seguros. Si tiene curiosidad por saber más detalles, consulte nuestro trabajo actual y cómo nos estamos preparando.

Informática confidencial

Qué significa informática confidencial: se trata de otra innovación en el mundo de la ciencia informática. La informática confidencial procesa datos en una zona protegida de un ordenador. Hoy en día, esto suele tener lugar en el hardware del dispositivo, en lo que se denomina un enclave seguro de hardware. Se usa todos los días en el teléfono sin saberlo, porque Android e iOS administran datos confidenciales, como la biometría, dentro del enclave seguro del dispositivo.

La innovación reciente son los enclaves seguros basados en la nube: estos ofrecen una capacidad similar a los enclaves seguros de hardware, pero existen en la nube y la ponen a disposición de productos de software que no pueden acceder directamente a los enclaves de hardware.

Cómo usamos la informática confidencial en Dashlane: la informática confidencial abre oportunidades muy interesantes para productos como Dashlane. Nos permite pensar en el conocimiento cero de una manera diferente. En lugar de gestionar todos los datos confidenciales en el dispositivo del usuario, podemos valorar que se realice algo de procesamiento en un enclave seguro basado en la nube. Esta es la innovación en la que se basa el SSO confidencial de Dashlane: aprovechamos los enclaves seguros basados en la nube que ofrece nuestro proveedor de la nube AWS (su función se llama Nitro) para procesar las claves criptográficas necesarias para conectar el SSO de una empresa con Dashlane.

Confianza cero

Qué significa confianza cero: el sector de la seguridad acuñó el término publicitario «confianza cero» para denominar un modelo de seguridad basado en la filosofía de que nadie dentro o fuera de la red de una organización debe ser considerado de confianza ni obtener acceso a menos que se le apruebe explícitamente. En resumen, significa cero confianza implícita.

En lugar de confiar en las paredes del castillo y los guardias de la puerta para asegurarse de que uno está a salvo, se supone que ya hay espías dentro de la ciudadela, de modo que hay que volverse paranoico y controlar a todos los habitantes de la misma sin confiar en ellos de forma implícita.

Cómo usamos la confianza cero en Dashlane: en realidad, la confianza cero no se aplica del todo a Dashlane. Se trata más bien de un concepto de red asociado con la evolución de los cortafuegos y la seguridad de las VPN. No obstante, como a menudo se confunde con el conocimiento cero, me pareció importante definirlo aquí. La filosofía compartida es que no confiamos en nadie, ni siquiera en nosotros mismos como empleados de Dashlane. Por tanto, construimos Dashlane basándonos en el conocimiento cero para garantizar que nuestros clientes estén seguros y que nuestra empresa esté protegida.

Espero que la forma en que he explicado estos términos complejos le haya ayudado a comprender mejor su significado. Dashlane tiene como objetivo hacer que la seguridad sea simple para todos.